信用卡處理代理商M&A：PCI-DSS合規、支付許可與技術架構評估

前言

台灣支付產業近年快速演進，從傳統刷卡機（POS Terminal）到行動支付（Apple Pay、Google Pay、LINE Pay）、QR Code 支付，信用卡處理代理商（Payment Service Provider，PSP）扮演著串接商家與銀行的核心角色。

信用卡處理代理商的 M&A，不只是商業交易，更涉及複雜的金融監理合規與技術安全標準。

一、法律框架

1.1 主管機關

台灣支付服務業受以下機關監管：

• 金融監督管理委員會（金管會）：電子支付機構、電子票證業者
• 財政部：信用卡業務相關稅務
• 中央銀行：支付系統整體政策

1.2 電子支付機構許可

若業者從事以下業務，需向金管會申請「電子支付機構執照」：

• 代理收付款項（代收+代付）
• 持有使用者電子錢包
• 跨機構資金轉移

純信用卡處理中介（不持有客戶資金） 通常不需電子支付許可，但仍受《個人資料保護法》及 PCI-DSS 的規範。

二、PCI-DSS 合規：核心安全要求

2.1 什麼是 PCI-DSS

PCI-DSS（支付卡產業資料安全標準） 是由 Visa、Mastercard、AMEX 等國際卡組織聯合制定的安全標準，要求所有處理信用卡資料的業者必須遵守：

12 項核心要求（簡述）：

• 建立並維護安全網路及系統
• 保護持卡人資料
• 維護漏洞管理計畫
• 實施嚴格的存取控制措施
• 定期監控及測試網路
• 維護資訊安全政策

PCI-DSS 認證等級：

• Level 1（年交易量 600 萬筆以上）：需第三方 QSA（合格安全評估機構）現場稽核
• Level 2-4（量較小）：可自評，但仍需年度問卷

2.2 PCI-DSS 合規的移轉

PCI-DSS 認證屬公司層級認證：

• 股份收購：認證隨公司延續，但若有重大系統變更，需重新評估
• 資產收購：若技術平台隨之移轉，需重新通過 PCI-DSS 稽核

M&A 的合規風險： 若目標公司的 PCI-DSS 認證即將到期或有未解決的合規缺失，買方接手後可能面臨合規整改的一次性成本。

三、技術架構評估

支付處理的技術架構是估值的核心：

四、估值方法

信用卡處理代理商估值：

主要指標：
- GMV（支付金額總量）
- Take Rate（抽成率，通常 0.1-0.5% 的交易費）
- 活躍商家數
- 每商家月均 GMV

估值：
年費率收入（GMV × Take Rate）× 倍數
倍數：5 至 12 倍（視成長率及技術壁壘）

具備電子支付執照的業者：溢價 20-40%（許可稀缺性）

五、盡職調查清單

• 電子支付機構執照（若適用）
• PCI-DSS 認證等級及有效期
• 最近一次稽核報告（合規缺失清單）
• 銀行收單協議清單
• 年 GMV 及費率收入趨勢
• 主要商家（Top 20）合約
• 資料外洩/安全事件紀錄

本文內容僅供參考，不構成法律或財務建議。實際交易請諮詢專業顧問。

五、電子支付市場整合趨勢

5.1 台灣支付生態系的整合

台灣電子支付市場近年大幅整合，2021 年《電子支付機構管理條例》修正後：

• 電子支付與電子票證合一管理
• 小型業者面臨更高的資本要求與合規成本
• 大型業者（街口支付、LINE Pay Money、icash pay 等）持續整合

對 M&A 的意義： 中小型支付服務業者被大型業者收購的趨勢明確，估值通常以「技術能力 + 特定垂直市場的商家網絡」為核心。

5.2 B2B 支付的新機遇

企業間支付（B2B Payment）是台灣支付市場的下一個成長點：

• 供應鏈金融整合
• 跨境支付（對東南亞）
• 企業採購支付

具備 B2B 支付能力的業者，在 M&A 市場有更高的策略性價值。

六、估值方法（完整版）

信用卡處理代理商估值：

方法一：商家網絡 × 每商家年費/佣金
活躍商家數 × 年均交易量 × Take Rate

完整估值：
活躍商家數 × 每商家年 GMV × Take Rate × EBITDA 倍數

台灣市場參考：
- 小型 PSP（< 1,000 家商家）：NT$3,000 萬以內
- 中型 PSP（1,000-5,000 家）：NT$3,000 萬至 3 億
- 大型 PSP（> 10,000 家，有特殊垂直市場優勢）：NT$3 億以上

方法二：ARR 倍數（若有月費制商家）
月費收入年化（ARR）× 5-10 倍

方法三：電子支付執照稀缺性估值
若目標業者持有電子支付機構執照，執照本身的「重新申請成本」（時間、資本、人力）值 NT$5,000 萬至 2 億

調整因子：
+ PCI-DSS Level 1 認證（最高等級）：+15-20%
+ 垂直市場領先地位（如電商、餐飲 SaaS）：+20-30%
- PCI-DSS 認證即將到期（6 個月內）：確認更新計畫

七、盡職調查清單（完整版）

• 電子支付機構執照（若有，有效期及業務範圍）
• PCI-DSS 認證等級及最新稽核報告
• 資訊安全事件記錄（資料外洩等重大事件）
• 活躍商家數（月均交易 > 1 筆）及 GMV 趨勢
• 主要商家合約（前 20 大商家，合約期限）
• 銀行收單合作合約（收單銀行名稱、費率、合約期）
• 國際卡組織（Visa/Mastercard）合規要求達標確認
• AML 政策及 KYC 程序文件

本文內容僅供參考，不構成法律或財務建議。實際交易請諮詢專業顧問。